JP2002528771A - 耐パワーシグニチャーアタック暗号法 - Google Patents

Abstract

(57)【要約】 本発明は、体上に定義された楕円曲線上の点Ｐの倍数ｋを算出する方法であって、以下のステップを含む。すなわち、上記ナンバーｋを二進ベクトルｋ_I として表し、点Ｐ₁ およびＰ₂ の順序対を形成し、点Ｐ₁ およびＰ₂ は最大でＰだけ異なり、そして、順次各ビット列ｋ_i を選択し、上記ｋ_i のそれぞれに対して、ｋ_i が０のとき、点Ｐ₁ ′、Ｐ₂ ′の新しいセットを算出し、一番目の点Ｐ₁ を二倍算することによって上記点Ｐ₁ ′を得、そしてＰ₁ およびＰ₂ を加算することによって上記点Ｐ₂ ′を得る。あるいは、ｋ_i が１のとき、点Ｐ₁ ′、Ｐ₂ ′の新しいセットを演算し、二番目の点Ｐ₂ を二倍算することによって、上記点Ｐ ₂ ′を得、そして点Ｐ₁ およびＰ₂ を加算することによって上記点Ｐ₁ ′を得る。それによって、上記二倍算あるいは加算が、常に上記ビット列ｂ_i のそれぞれに対して同じ順序で実行され、これにより、この方法におけるタイミングアタックを極力減少させることができる。本発明の実施形態は、乗算可能な群および加算可能な群の両方に適用される。

Description

【発明の詳細な説明】

本発明は、暗号システムにおけるパワーシグニチャーアタック（power signat
ure attack）をできるかぎり減少させる方法および装置に関するものである。

【０００１】 〔発明の背景〕 暗号システムは、通常、それなくしては、その機構を破壊することが不可能な
特定の情報を機密に保持することによって、その安全性を維持している。この機
密情報は、通常、暗号化プロセッサ中の保護領域に記憶される必要があり、これ
によって、アタッカーが直接それにアクセスすることを困難にしている。しかし
ながら、この機密情報を入手するために、様々な手法あるいはアタックが試行さ
れている。これらの一つにタイミングあるいはパワーシグニチャーアタックがあ
る。

【０００２】 タイミングアタック（あるいは、「サイドチャネルアッタク（side channel a
ttack ）」）は、明らかに、暗号化動作期間中に遂行されたコンピュータの逐次
演算の結果に基づくものである。このアタックは、通常、暗号化アルゴリズムの
処理の一面を利用する。

【０００３】 例えば、最近の、ＲＳＡおよび楕円曲線（ＥＣ）等の公開かぎ暗号化手法は、
以下の数学的群上で作用する。すなわち、ＲＳＡの

【０００４】

【数１】

【０００５】 、有限体

【０００６】

【数２】

【０００７】 における離散対数系、あるいはこれら有限体（finite field）上のＥＣ群（EC g
roup）である。この群演算（group operation ）は、ＲＳＡでは、乗算モジュロ
ｎ（multiplication modulo n ）、ＥＣでは、ポイント加算（addition of poin
ts）と呼ばれ、スカラ演算を実行するための特定の方法で逐次的に繰り返される
。ＲＳＡでは、演算子は指数（exponent）と呼ばれ、演算はべき乗（exponentia
tion）と呼ばれ、そして、乗算法は一般的に、繰り返し二乗算−乗算（square-a
nd-multiply ）として知られている。したがって、ナンバー

【０００８】

【数３】

【０００９】 および整数０≦ｋ＜ｐが与えられると、上記指数は、その二進表現は

【００１０】

【数４】

【００１１】 であるが、値ａ^k ｍｏｄ ｎとして、「二乗算−乗算」アルゴリズム（Handbook
of Applied Cryptography P.615参照）の繰り返し使用によって算出される。同
様に、ｇ（ｘ）∈Ｆ_p ｍおよび整数０≦ｋ≦ｐ^m −１が与えられると、ｇ（ｘ） ^k ｍｏｄ ｆ（ｘ）がこの方法で算出される。

【００１２】 一方、ＥＣでは、演算子はスカラ乗数（scalar multiplier ）であり、その演
算はポイントスカラ乗算（scalar multiplication of a point）と呼ばれ、その
方法は、「二倍算−加算（double-and-add）」として知られている。こうして、
ｋが正の整数で、Ｐが楕円曲線ポイントである場合には、ｋＰは、「二倍算−加
算」法で求められる。これら両方法とも従来公知であり、これ以上の説明は省略
する。

【００１３】 前述のように、アタッカーが機密キーを一旦保持すれば（長期あるいはセッシ
ョンにかかわらず）、アタックされた構成要素に対する署名および暗号解読機密
メッセージを偽造することができる。このように、システム内の機密キーの機密
性と保全性を維持することが最重要である。

【００１４】 機密キーを獲得するための多くの技術が提案されている。暗号化動作は、逐次
的に動作される専用、あるいは汎用のプロセッサにおいて行われる。最近のアタ
ック方法は、例えば、Paul Kochersの記事「Timing attacks on implementation
s of Diffie-Hellman,RSA,DSS and other systems 」に述べられているように、
公開文書で提案されている。これらのアタックは、これらのプロセッサのタイミ
ング分析、すなわち、「ブラックボックス」動作のタイミング分析に基づくもの
である。例を挙げれば、アタッカーは、機密キー動作中のプロセッサの瞬時の電
力使用を補足することによって、パワーシグニチャー（power signature ）を獲
得する。パワーシグニチャーは各クロックサイクル毎のゲート動作の数に関連す
る。上記のパラグラフで述べた各基本動作は、個別のタイミングパターンを発生
する。瞬時の電力使用によらないパワーシグニチャー獲得のための他の方法も存
在する。

【００１５】 忍耐を要する注意深い、端から端までの波形分析によって、加算−二倍算ある
いは二乗算−乗算の演算の順序を分解することができる。標準アルゴリズムを使
用すると、指数あるいはスカラ乗算のいずれかのビット毎に、それぞれ、二倍算
あるいは二乗算のどちらかが発生する。したがって、二倍算波形が互いに隣接す
る箇所は、ゼロをもつビット位置を表し、加算波形が存在する箇所は１をもつビ
ットを示す。したがって、これらのタイミング測定が分析され、機密キーの全体
が発見されると、当該システムが危険にさらされることになる。

【００１６】 前述の「二乗算−乗算」あるいは「二倍算−加算」技術に加えて、ｋＰを算出
する他の方法として、例えば、「二進ラダー（binary ladder ）」あるいはモン
ゴメリー（Montgomery）法（"Speeding the Pollard and Elliptic Curve Metho
ds of Factorization" by Peter L. Montgomery 参照）が挙げられる。この方法
では、一対の点（ｉＰ，（ｉ＋１）Ｐ）のｘ座標が演算される。モンゴメリー法
は、例によってより明確に示されるように、モジュラ乗算を実行するための能率
的な方法である。群Ｅ（Ｆ_p ）および楕円曲線上の点Ｐが与えられると、モンゴ
メリ法は他の点ｋＰを算出するため使用される。順序対である点（ｉＰ，（ｉ＋
１）Ｐ）が与えられると、それから、ｋの二進表現である各ビットに、ビットｉ
が０ならば、次に算出される点セットは（２ｉＰ，（２ｉ＋１）Ｐ）となり、ビ
ットｉが１ならば、次の点セットは（（２ｉ＋１）Ｐ，（２ｉ＋２）Ｐ）となる
。すなわち、この対の一番目のものは、ビットが０であるか１であるかによって
、二倍算あるいは加算することによって得られる。

【００１７】 プロセッサ中では、二倍算および加算の各々は独特なパワーシグニチャーを発
生する乗算演算を伴う。図１（ａ）に概略して示すこれらパワーシグニチャーを
観察することによって、アタッカーは、０の列（０ｓ）および１の列（１ｓ）の
シーケンスを引出し、そして、使用されたスカラあるいは指数を引き出す。

【００１８】 モンゴメリ法は、前述のようなストレートな「二倍算−加算」による極めて高
い能率性のため、ＥＣ暗号システムに好適に使用される。

【００１９】 上記のようなモンゴメリ法に基くアタックは、ＲＳＡ機密キー動作が行われて
いる際に特に重大である。ダン・ボネー等（Dan Boneh et al.）によって出版さ
れた最近の文書（題名："An Attack On RSA Given A Small Fraction Of The Pr
ivate Key Bits" ）によれば、低い公開指数（low public exponent ）を有する
ＲＳＡに対しては、機密キービット列の１／４が与えられると、敵は機密キー全
体を確定できることが示されている。このアタックに上述のパワーシグニチャー
アッタクを組み合わせると、ＲＳＡ法は非常に攻撃されやすいものになる。

【００２０】 そこで、本発明の目的は、特に、機密キー動作においてモンゴメリ法を使用す
る場合に、タイミングアッタク成功の危険を極力減少させることができるシステ
ムを提供することにある。

【００２１】 〔本発明の概要〕 本発明によれば、体（field ）上に定義された楕円曲線上の点Ｐの倍数ｋ（mu
ltiple k）を算出する方法が提供されており、この方法は、以下のステップを含
んでいる。すなわち、 ａ）ナンバーｋをビット列ｋ_i の二進ベクトル（binary vector ）として表し
； ｂ）点Ｐ₁ およびＰ₂ の順序対を形成し、点Ｐ₁ およびＰ₂ は最大でＰだけ異
なり；そして、 ｃ）順次上記各ビット列ｋ_i を選択し、上記ｋ_i のそれぞれに対して； i）ｋ_i が０のとき、 ii）点Ｐ₁ ′、Ｐ₂ ′の新しいセットを算出し、上記点Ｐ₁ ′は一番
目の点Ｐ₁ を二倍算して得られたものであり；そして、 iii）上記点Ｐ₂ ′は点Ｐ₁ およびＰ₂ を加算して得られたものであ
り； あるいは、ｋ_i が１のとき、 iv）点Ｐ₁ ′、Ｐ₂ ′の新しいセットを算出し、上記点Ｐ₂ ′は二番目の
点Ｐ₂ を二倍算して得られたものであり；そして、 v）上記点Ｐ₁ ′は点Ｐ₁ およびＰ₂ を加算して得られたものである。 これにより、上記二倍算あるいは加算が、常に上記ビット列ｂ_i の各々に対して
同じ順序で実行され、これによって上記方法におけるタイミングアタックを極小
化する。

【００２２】 本発明の他の態様においては、上記体は、Ｆ₂ ^m あるいはＦ_p である。

【００２３】 本発明のさらに他の態様においては、上記方法を実行するプロセッサのハード
ウェアが備えられている。

【００２４】 〔好適な実施形態の詳細な説明〕 本発明の好ましい実施形態についての上記および他の特徴点は、添付した図面
を参照した以下の詳細な説明によって明白になるであろう。

【００２５】 図２に示すように、Ｆ₂ ^m あるいはＦ_p の体（field ）上に定義された楕円曲
線上の点の倍数（multiple）を算出するための一般化されたアルゴリズムは、符
号２０によって一般的に示される。本実施形態では、点Ｐは本システムのパラメ
ータである。このアルゴリズムは、点ｋＰの倍数を算出し、ここで、スカラｋは
機密キーか他の機密値の場合がある。このスカラｋは、レジスタ中でビット列ｂ _I ２４を有する二進ベクトルとして表される。一対の要素（elements）（ａ，ｂ
）が形成され、ここで、ａおよびｂは、最大でＰだけ異なる楕円曲線上の点であ
るか、あるいは、群Ｆ_p の場合には、ａおよびｂは倍数ｇだけ異なる要素ｇであ
る。

【００２６】 本実施形態では、楕円曲線法を考慮するため、この要素ａおよびｂは、順序対
である点ｉＰおよび（ｉ＋１Ｐ）のｘ座標に相当する。楕円曲線点のｘ座標を得
てそれを利用するための改良モンゴメリ法（An improved Montgomery method ）
は、当発明に参照のため取り入れられた、本出願人による継続中の米国特許出願
Ｎｏ．０９／０４７，５１８に述べられている。スカラｋの二進表現の一番目の
ビットで始まるビットｂ_i が評価される。このビットの値によって、二つのアル
ゴリズム２６あるいは２８の一つが選択される。ブロック２５ａに示されたよう
に、このビットが０である場合には、入力対（ａ，ｂ）の一番目の要素ａは二倍
算され、出力対（ａ′，ｂ′）の一番目の要素ａに記憶される。一方、入力の一
番目と二番目の要素が加算されａ＋ｂ、出力対（ａ′，ｂ′）の二番目の要素ｂ
′に配置される。ブロック２５ｂに示されたように、このビットが１である場合
には、入力対（ａ, ｂ）の二番目の要素ｂは二倍算され、出力対（ａ′，ｂ′）
の二番目の要素ｂに記憶される。一方、一番目と二番目の入力要素が加算され、
すなわち、ａ＋ｂ、出力対（ａ′，ｂ′）の一番目の要素ａ′に配置される。こ
れらのステップは、スカラｋのすべてのビットに対して繰り返される。

【００２７】 こうして、図１（ｂ）に示すように、「二倍算」の演算に引き続いて「加算」
の演算を各ビットに対して実行することにより、一貫したパワーシグニチャー波
形が生成されるため、アタックを試みる者にほとんど情報を与えない。この動作
は、反対の順序で遂行されてもよい。すなわち、一番目に「加算」の演算、つい
で「二倍算」の演算を実行する。ＲＳＡ法では、同様の演算は、「二乗算と乗算
」である。

【００２８】 より詳細には、「二進ラダー」法を使用してｋＰを算出するとすれば、いくつ
かの計算後、ｘ座標（ｉＰ，（ｉ＋１）Ｐ）を得る、すなわち、図４に概略して
示すように、ｋの処理されたｉビット列を得る。処理すべき次のビットが０の場
合には、ｘ座標（の順位対）（２ｉＰ，（２ｉ＋１Ｐ）Ｐ）を形成しなければな
らない。次のｂｉ＋ｂが１の場合には、ｘ座標（の順位対）（（２ｉ＋１）Ｐ，
（２ｉ＋２）Ｐ）を形成しなければならない。

【００２９】 「二倍算」式は、入力にかかわらず、おおよそ同じ量の電力（および時間）を
必要とすると考えられる。加算式は、入力にかかわらず、同じ量の電力（および
時間）を必要とすると考えられる。しかしながら、二倍算式の実行には、加算式
の実行と異なる量（通常のモンゴメリ式使用の場合には、より少ない量）の電力
が必要とされる。

【００３０】 このことから、パワーバーをモニターすることによって、「二倍算」と「加算
」とを区別することができる。ここで、これらの式を一貫した順序で実行すれば
、処理中の１のパワーシグニチャーおよび処理中の０のパワーシグニチャーは、
区別不可能となる。各々が「二倍算」のパワーシグニチャーと、それに続く「加
算」のパワーシグニチャーからなる。

【００３１】 両方の場合において、評価の順序を逆転しても、パワーシグニチャーは、区別
不可能である。

【００３２】 このことから、楕円曲線上のｋＰを算出する本方法は、電力消費の統計量を通
じて整数ｋを明示することを避けるため、より好適である。「モンゴメリ」、「
二倍算」および「加算」式を使用すると、本方法は、特に反転をさける射影形式
を用いる場合にも有効になる。

【００３３】 効率の面においては、「二進ラダー」法の各ステップにおいて、二つの独立し
た演算が実行されねばならないことが、注目される。すなわち、「加算」式の結
果は「二倍算」式に対して必要とされず、その逆も成り立つ。このことは、能率
的な並列的ハードウエア処理を考慮に入れる。

【００３４】 そこで、図３を参照して、本方法の並列的ハードウエア処理の概略を符号３０
によって示す。この処理においては、第一、第二専用プロセッサが備えられてい
る。第一プロセッサ３２は、「二倍算」もしくは「二乗算」またはその両方の演
算を行い、一方、第二プロセッサ３４は、「加算」もしくは「乗算」またはその
両方の演算を行う。主プロセッサ３６は、３２と３４のどちらの専用プロセッサ
が起動されるかを決定する。

【００３５】 各プロセッサ３２および３４が同時に駆動される（ただし、回路が使用される
時期は異なる）。これら回路の入力および出力は、上述の場合にしたがって、す
なわち、ビットｂ_i ＝０あるいはビットｂ_i ＝1 を使用して、操作される。この
簡単な例は、直列的処理に比べてほぼ２倍のスピードアップをもたらす。少なく
とも従来の射影モンゴメリ式の場合には、加算回路は二倍算回路より時間が多く
かかり、より複雑であることが注目される。二倍算回路を加算回路より速く終了
させる必要はないので、より遅く設定してもよい。実際には、このことは二倍算
回路をより安く構成できることを意味する。

【００３６】 本発明について、ある特定の実施形態に基づいて説明したが、特許請求の範囲
として記載された本発明の精神および範囲内において、本実施形態が様々に変形
されることは明白であろう。

【００３７】 本発明において、排他的独占権を求める具体的内容は、特許請求の範囲に記載
した通りである。

【図面の簡単な説明】

【図１】 （ａ）および（ｂ）は、プロセッサのパワー使用シグニチャー（processor po
wer usage signature ）を示す概略図である。

【図２】 本発明の一実施形態による方法を示すフロー図である。

【図３】 本発明の一実施形態による方法を実行する対称プロセッサ（symmetric proces
sor ）を示す概略図である。

【図４】 二進の整数ｋを示す概略図である。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ，ＺＷ )，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ， ＴＪ，ＴＭ)，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ， ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，Ｄ Ｅ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ， ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，Ｌ Ｓ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ， ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，Ｔ Ｔ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＷ (72)発明者 ギャラント，ロバート，ピー． カナダ，オンタリオ州 エル５エム ５エ ヌ１，ミシソーガ，ローズブッシュ ロー ド 4788 Ｆターム(参考） 5J104 AA25 AA44 JA25

Claims (3)

【特許請求の範囲】
1. 【請求項１】 体上に定義された楕円曲線上の点Ｐの倍数ｋを算出する方法であって、 ａ）ナンバーｋを二進ベクトルｋ_i として表し； ｂ）点Ｐ₁ およびＰ₂ の順序対を形成し、点Ｐ₁ およびＰ₂ は最大でＰだけ異
   なり；そして、 ｃ）順次上記各ビット列ｋ_i を選択し、上記ｋ_i のそれぞれに対して； i）ｋ_i が０のとき、一番目の点Ｐ₁ を二倍算して点Ｐ₁ ′を得；そして
   Ｐ₁ およびＰ₂ を加算して点Ｐ₂ ′を得ることにより、点Ｐ₁ ′、Ｐ₂ ′の新し
   いセットを算出し； あるいは、 ii）ｋ_i が１のとき、二番目の点Ｐ₂ を二倍算して点Ｐ₂ ′を得；そして
   点Ｐ₁ およびＰ₂ を加算して点Ｐ₁ ′を生成することによって、点Ｐ₁ ′、Ｐ₂ ′の新しいセットを算出するステップを含み、 それによって、上記二倍算あるいは加算が、常に上記ビット列ｂ_i の各々に対し
   て同じ順序で実行され、これにより本方法におけるタイミングアタックを極小化
   する方法。
2. 【請求項２】 上記体が、Ｆ₂ ^m 上で定義されている請求項１に記載の方法。
3. 【請求項３】 上記体が、Ｆ_p 上で定義されている請求項１に記載の方法。